🇰🇷 한글 설명
OAuth 2.0 클라이언트 Web 및 WebFlux 애플리케이션에서 인증 요청을 시작할 때 서비스 거부(DoS) 공격이 발생할 수 있습니다. 공격자가 인증 코드 승인 방식을 사용하는 인증 요청을 반복적으로 보내면 단일 또는 다중 세션을 통해 시스템 자원을 고갈시킬 수 있습니다.
💡 쉬운 설명
로그인 과정에서 악의적인 요청을 무수히 많이 보내 컴퓨터의 자원을 모두 써버리게 만드는 공격입니다. 이로 인해 서버가 마비되어 일반 사용자들이 서비스를 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
Spring Security versions 5.5.x prior to 5.5.1, 5.4.x prior to 5.4.7, 5.3.x prior to 5.3.10 and 5.2.x prior to 5.2.11 are susceptible to a Denial-of-Service (DoS) attack via the initiation of the Authorization Request in an OAuth 2.0 Client Web and WebFlux application. A malicious user or attacker can send multiple requests initiating the Authorization Request for the Authorization Code Grant, which has the potential of exhausting system resources using a single session or multiple sessions.
📍 영향받는 시스템
Spring Security 5.5.x < 5.5.1, 5.4.x < 5.4.7, 5.3.x < 5.3.10, 5.2.x < 5.2.11
⚔️ 공격 벡터
OAuth 2.0 Authorization Code Grant 요청을 대량으로 전송하여 시스템 자원 고갈 유도
🛡️ 대응 방법
Spring Security를 최신 패치 버전(5.5.1, 5.4.7, 5.3.10, 5.2.11 이상)으로 업데이트
🔧 검증 코드
출력된 spring-security-core의 버전이 취약한 버전 범위에 포함되는지 확인
mvn dependency:tree | grep spring-security-core